Nhà cung cấp DNS Quad9 gọi lệnh chặn nội dung vi phạm bản quyền là “mối đe dọa sống còn”

• Quad9, một DNS resolver phi lợi nhuận của Thụy Sĩ, cảnh báo rằng lệnh của tòa án Pháp chặn các trang web phát trực tuyến bất hợp pháp đang đe dọa chính sự tồn tại của dịch vụ
• Chỉ ra rằng các công ty lớn như Google·Cloudflare·Cisco có thể gánh chi phí pháp lý và kỹ thuật, nhưng các tổ chức phi lợi nhuận quy mô nhỏ khó có thể chịu nổi gánh nặng tương tự
• Quad9 cho biết do thiếu nguồn lực tài chính, gần đây họ đã quyết định không trực tiếp tham dự vụ kiện tại tòa án Pháp, nên buộc phải áp dụng lệnh chặn trên phạm vi toàn cầu
• Khi các chủ sở hữu bản quyền đẩy trách nhiệm sang các nhà cung cấp hạ tầng trung lập (ISP·VPN·DNS), thì chính cấu trúc nền tảng (plumbing) của Internet đang bị tổn hại
• Nêu lên nguy cơ rằng áp lực pháp lý như vậy sẽ làm suy yếu tính mở, quyền riêng tư và tính phân tán của Internet, và cuối cùng dẫn tới sự tập trung hóa xoay quanh một số ít tập đoàn lớn

---

Lệnh chặn vi phạm bản quyền và khủng hoảng của Quad9

• Quad9, một DNS resolver phi lợi nhuận có trụ sở tại Thụy Sĩ, gần đây cho biết trên blog rằng lệnh chặn các trang vi phạm bản quyền đang trở thành “mối đe dọa sống còn (existential threat)” đối với dịch vụ của họ
  • Họ nhấn mạnh rằng các tập đoàn công nghệ lớn có thể hấp thụ chi phí pháp lý và kỹ thuật như một phần chi phí vận hành, nhưng các tổ chức phi lợi nhuận nhỏ không thể tự vệ ở cùng mức độ đó
• Quad9 đã từ bỏ việc tự bào chữa do giới hạn tài chính trong vụ kiện tại tòa án Pháp, và vì vậy rơi vào tình huống phải áp dụng lệnh chặn ở cấp độ toàn cầu
• Vụ việc bắt đầu từ tháng 5/2024, khi Tòa án Tư pháp Paris ra lệnh cho Google, Cloudflare, Cisco chặn truy cập tới nhiều trang phát trực tuyến thể thao bất hợp pháp
  • Sau đó, các bên nắm quyền bổ sung như DAZN, beIN cũng đưa ra các yêu cầu tương tự, khiến nhiều nhà cung cấp DNS hơn như Quad9 và Vercel bị đưa vào diện áp dụng

“Phá vỡ hệ thống đường ống của Internet”

• Quad9 cho rằng các chủ sở hữu bản quyền không nhắm trực tiếp vào bên vi phạm, mà lại đẩy trách nhiệm sang các doanh nghiệp hạ tầng trung lập như ISP·VPN·nhà cung cấp DNS
  • Những biện pháp như vậy tác động trực tiếp đến các nhà cung cấp hạ tầng cốt lõi của Internet
• Quad9 mô tả rằng “không phải các nền tảng hưởng lợi từ hành vi vi phạm đang bị tấn công, mà là các nhà cung cấp hạ tầng trung lập giúp Internet vận hành”
• Sau các biện pháp chặn của Pháp, Cisco đã quyết định rút khỏi thị trường Pháp, cho thấy tác động thực tế đã xuất hiện
• Google và Cloudflare có thể về mặt kỹ thuật giới hạn việc chặn chỉ trong phạm vi nước Pháp, nhưng Quad9 không thể triển khai như vậy nên buộc phải áp dụng chặn trên toàn cầu

Quan điểm của tòa án Pháp và vấn đề Quad9 đặt ra

• Tòa án Pháp cho rằng các lệnh chặn như vậy là chính đáng; dù một số kháng cáo đang được tiến hành, chưa có dấu hiệu cho thấy phán quyết sẽ bị đảo ngược
• Trước điều đó, Quad9 cho rằng cần có một cuộc thảo luận căn bản về nguyên tắc nền tảng của Internet và phạm vi trách nhiệm, đồng thời đặt ra nhiều câu hỏi
  • “Hạ tầng kỹ thuật trung lập có nên phải chịu trách nhiệm cho hành vi của người khác hay không?”
  • “Tòa án quốc gia có thể áp dụng luật trong nước lên mạng lưới toàn cầu đến mức nào?”
  • “Các tổ chức phi lợi nhuận nhỏ có thể gánh các nghĩa vụ pháp lý vốn được mặc định dành cho các tập đoàn toàn cầu hay không?”
  • “Điều gì sẽ xảy ra với quyền riêng tư và khả năng chống chịu khi chỉ một số ít tập đoàn lớn có thể đáp ứng các nghĩa vụ pháp lý?”
  • “Từ thời điểm nào việc tuân thủ pháp luật sẽ biến thành kiểm duyệt trên thực tế?”

Mối đe dọa bùng lên trở lại sau vụ kiện ở Đức

• Quad9 trước đây từng thắng trong vụ kiện kéo dài nhiều năm chống lại Sony tại Đức, nhưng với vụ việc lần này ở Pháp, mối đe dọa sống còn lại tái diễn
• Quad9 cảnh báo rằng các vụ kiện đòi chặn như vậy có thể làm suy yếu tính mở, quyền riêng tư và tính phân tán của Internet, và cuối cùng dẫn tới một Internet tập trung hóa quanh một số ít tập đoàn lớn có đủ khả năng chi trả chi phí pháp lý

[GN⁺]

Ý kiến trên Hacker News

• Tôi thấy thông báo rằng OpenDNS của Cisco đã bị chặn theo lệnh tòa tại Pháp và Bồ Đào Nha, rồi sau đó được khôi phục lại ở Bồ Đào Nha
  Việc Quad9 muốn đấu tranh chống kiểm duyệt là rất đáng hoan nghênh, nhưng có lẽ rồi họ cũng sẽ buộc phải chặn theo yêu cầu từ Pháp
  Tôi nghĩ có lẽ sẽ tốt hơn nếu chuyển người dùng tới một trang chuyển hướng giải thích tình hình và cung cấp thông tin liên hệ của quan chức chính phủ

  • Theo bài viết, Google và Cloudflare có công nghệ geofencing để chỉ áp dụng chặn trong phạm vi nước Pháp, còn Quad9 không làm được nên đã áp dụng chặn trên toàn cầu
    Tôi khá tò mò chi phí và độ phức tạp để một DNS resolver công cộng triển khai kiểu geofencing này là bao nhiêu
  • Tôi nghĩ việc chặn cả một quốc gia cuối cùng có thể dẫn tới mối đe dọa sống còn

• Khi debug vấn đề đăng nhập vào website ngân hàng, tôi phát hiện DNS của Quad9 chỉ trả về một phần bản ghi A khác với Google hay Cloudflare
  Khi thử bằng lệnh dig, Google và Cloudflare trả về 6 IP còn Quad9 chỉ trả về 1
  Tôi tự hỏi đây chỉ là khác biệt về định tuyến theo địa lý hay còn lý do nào khác

  • Tôi cũng dùng Quad9 làm DNS mặc định ở nhà, nhưng từ khoảng 11 ngày trước truy vấn không đi đâu được nữa nên tôi nghi là bị chặn IP. Hiện tôi đã chuyển sang dùng Quad1
  • Tôi thấy cả ba DNS đều chỉ trả về một IP duy nhất. Google dùng EDNS0 client subnet để geo-targeting dựa trên IP của client
    Có thể kiểm tra bằng lệnh dig -t txt o-o.myaddr.l.google.com @8.8.8.8
  • Tôi đã cố thích Quad9, nhưng do lỗi SERVFAIL quá thường xuyên ở khu vực Đông Bắc nên tôi quay lại Cloudflare
  • Google dùng EDNS và cân bằng tải nên không phù hợp để làm đối tượng test. Tốt hơn là thử lại với một domain có nhiều IP tĩnh
  • Thú vị là tôi cũng chỉ nhận được một IP duy nhất khác nhau từ cả ba DNS

• Nhiều ISP ở Đức giờ đã bỏ cuộc chiến và bắt đầu kiểm duyệt ngay ở DNS
  Có thể xem thêm tại trang CUII

  • Ở Nhật Bản, năm 2018 văn phòng thủ tướng cũng từng xem xét chặn DNS với các trang web vi phạm bản quyền, nhưng đã không thành do sự phản đối từ cộng đồng kỹ thuật
    Hiện họ đang thảo luận việc chặn các trang casino trực tuyến
    Tài liệu liên quan: biên bản họp của chính phủ, thông cáo của NIC
  • Trong tình huống như thế này, tôi nghĩ việc tự vận hành resolver riêng bằng Unbound là rất quan trọng. Không cần phải phụ thuộc vào DNS tập trung
  • Thực ra kiểu tự kiểm duyệt này đã có từ lâu rồi. Thời The Pirate Bay cũng đã như vậy

• Tôi hy vọng Thụy Sĩ sẽ không ký vào thỏa thuận mà nước này dự định ký với EU vào năm sau
  Văn bản hơn 8.000 trang đó bao gồm nghĩa vụ tuân thủ các quy định của EU liên quan tới bản quyền, nên môi trường tải xuống tự do hiện tại có thể sẽ biến mất
  Dù khuynh hướng chính trị thế nào đi nữa, tôi nghĩ đây là một thương vụ tệ hại cho tất cả mọi người

• Tôi đang dùng Mullvad DNS và khá hài lòng
  Thông số Mullvad DNS

  • Tôi không biết Mullvad DNS là dịch vụ công khai. Cảm ơn vì đã cho tôi biết
    Dạo này tôi cũng đang thử DNS4EU
  • Tôi cũng dùng nó làm bản sao lưu, nhưng tốc độ rất chậm
    Nhân tiện, Wikimedia DNS cũng đang vận hành như một dịch vụ công khai: Wikimedia DNS
  • Trường hợp của tôi có độ trễ trung bình 350ms. Ảnh chụp màn hình đo tốc độ
  • Mullvad DNS thường xuyên bị downtime. Gần như ngày nào cũng có sự cố, nhưng VPN của họ thì rất tốt

• Tấn công vào DNS resolver có vẻ là một chiến thắng quá dễ
  Nếu đó thực sự là các trang bất hợp pháp thì nên thử tịch thu tên miền thông qua ICANN. Nhưng có lẽ vì điều đó khó chứng minh nên họ mới gây áp lực lên DNS resolver

  • Việc tịch thu tên miền thông qua ICANN phải được áp dụng trên toàn cầu, nên khó phản ánh khác biệt pháp luật giữa các quốc gia
    Cần có một cấu trúc để mỗi nước có thể duy trì danh sách chặn riêng
  • Nhưng ICANN không có thẩm quyền hay cơ chế để trực tiếp tịch thu tên miền
    Họ chỉ có thể thu hồi chứng nhận khi registrar vi phạm hợp đồng

• Trớ trêu thay, xu hướng Internet phi tập trung hiện nay không diễn ra vì những lý do lý tưởng, mà là phản ứng trước kiểm duyệt mang tính độc đoán

  • Trớ trêu thật, nhưng một trong những phẩm chất cốt lõi ban đầu của phi tập trung chính là khả năng chống kiểm duyệt
  • Tôi nghĩ khả năng chống kiểm duyệt là giá trị cốt lõi của phi tập trung
  • Lý trí, tự do và khả năng chống kiểm duyệt mới là những đức tính chúng ta phải bảo vệ

• Tôi tự hỏi liệu Quad9 có vận hành một resolver vẫn giữ DNSSEC nhưng không chặn malware hay không
  Đã có nhiều lần các domain hợp pháp bị chặn tạm thời

  • Đáng tiếc là không có tổ hợp như vậy. 9.9.9.10 là bản không có DNSSEC và cũng không chặn malware

• Tôi tự hỏi liệu các máy chủ DNS gốc có thể bị kiểm duyệt hoặc chỉnh sửa theo lệnh tòa hay không
  Tôi vẫn nghĩ máy chủ gốc là bất khả xâm phạm, nhưng thực tế thì không chắc

  • Trừ khi chính Mỹ trực tiếp cố kiểm duyệt, tôi nghĩ sẽ có phản ứng rất mạnh với kiểu lệnh như vậy
    Thay vào đó, có lẽ nên phát triển các phương án như DNS-over-Tor hay DNS-over-DHT, và phổ biến dịch vụ Tor onion hơn
  • Máy chủ gốc không hoàn toàn an toàn, nhưng nếu xác thực DNSSEC thất bại thì sẽ bị xử lý thành SERVFAIL và thử lại với máy chủ gốc khác
    Vì vậy trừ khi tất cả máy chủ gốc đều bị chỉnh sửa cùng lúc, nếu không sẽ không có hiệu quả
    Tham khảo: thống kê DNSSEC
  • Máy chủ gốc không lưu bản ghi domain thực tế mà chỉ chỉ dẫn vị trí registry
    Vì vậy nếu muốn kiểm duyệt thì phải chặn ở cấp registry
  • Như trường hợp ở Thụy Điển, khi registry nhận lệnh từ tòa thì họ xử lý bằng cách bàn giao domain cho cảnh sát
    Nhưng vì không có khái niệm “phá hủy vĩnh viễn domain”, nên định nghĩa chặn vẫn khá mơ hồ

• Tôi tự vận hành nameserver của mình
  Chừng nào chưa kiểm soát được tới máy chủ gốc thì chặn DNS không phải vấn đề
  Nếu cache trước 5.000 domain hàng đầu thì tốc độ phản hồi cũng nhanh

  • Trên thực tế, trọng tâm của việc chặn không nằm ở máy chủ gốc mà ở registry TLD/2LD
    Nếu vận hành máy chủ DNS nội dung gốc riêng thì gần như miễn nhiễm với các kiểu tấn công này
  • Tất nhiên, trong một số mạng gia đình, cổng 53 có thể bị chặn nên các nỗ lực như vậy có thể không thực hiện được